Jika perusahaan Anda memiliki aplikasi AI, chatbot, atau alat internal yang terhubung ke model seperti GPT, Claude, atau Gemini, ajukan satu pertanyaan kepada tim teknis Anda hari ini: apakah ada server, laptop, atau pipeline build yang memasang LiteLLM versi 1.107.0 pada tanggal 21 Oktober 2026? Versi itu diterbitkan oleh penyerang dan berada di PyPI sekitar dua jam, antara pukul 14:39 dan 16:23 waktu Riyadh, dengan sekitar 49.000 unduhan. Versi ini mencuri kunci cloud, kunci penyedia AI, kata sandi basis data, dan kunci SSH. Jika jawabannya ya, menghapusnya saja tidak cukup: bangun ulang mesin dari image yang bersih dan ganti setiap kunci yang bisa diaksesnya. Versi yang aman adalah 1.106.2.

Apa yang sebenarnya terjadi?

LiteLLM adalah pustaka dan gateway sumber terbuka yang memungkinkan satu aplikasi berkomunikasi dengan puluhan model AI melalui satu antarmuka, sehingga banyak perusahaan menempatkannya di pusat produk AI mereka. Menurut Chainguard, pustaka ini diunduh lebih dari 100 juta kali di PyPI dalam sebulan terakhir, dan lebih dari 2.000 paket lain bergantung padanya, sehingga banyak tim memasangnya tanpa menyadarinya.

Menurut laporan insiden resmi LiteLLM, penyerang memperoleh token akses GitHub yang bocor ke log proyek. Pada 21 Oktober pukul 10:08 UTC, mereka memakai kredensial pengembang dengan hak istimewa untuk melewati perlindungan branch dan mengubah alur rilis agar membangun dari repositori bernama mirip, «Berri-AI/litellm» alih-alih «BerriAI/litellm». Pada pukul 11:39 UTC file berbahaya tiba di PyPI, dan pada pukul 11:46 UTC image Docker yang tercemar terbit dengan tag v1.107.0, latest, main-latest, dan main-stable. PyPI menghapus versi itu paling lambat pukul 13:23 UTC, dan tag Docker dibersihkan pada pukul 14:20 UTC, atau pukul 17:20 di Riyadh.

Ini serangan kedua terhadap proyek yang sama tahun ini. Chainguard mencatat bahwa pada Maret 2026 sebuah kelompok memakai token PyPI curian untuk menerbitkan versi 1.82.7 dan 1.82.8.

Apa yang dicuri versi berbahaya ini?

Bahayanya, versi ini tidak menunggu aplikasi Anda memakai LiteLLM. Versi tersebut menambahkan file startup Python yang berjalan setiap kali Python dijalankan di mesin itu, bahkan untuk perintah yang tidak berhubungan. Menurut analisis Wiz, pencuri ini mengumpulkan:

  • Kunci cloud AWS, Google Cloud, dan Azure dari file konfigurasi, variabel lingkungan, dan metadata server.
  • Kunci API OpenAI, Anthropic, Cohere, dan penyedia AI lainnya, artinya tagihan dan data Anda.
  • Kunci SSH privat, riwayat shell, serta kata sandi dan cookie yang tersimpan di browser.
  • Hingga 500 kredensial penyedia yang tersimpan di basis data LiteLLM Proxy.

Penyerang tidak berdiam diri dengan hasil curiannya. Wiz melihat kredensial AWS curian diuji sekitar 4,5 jam setelah dicuri, dari server build dan node Kubernetes. Malware juga memasang tahap kedua yang mengambil kode jarak jauh setiap jam, sehingga mesin tetap terbuka bahkan setelah paketnya dihapus.

Apakah perusahaan saya terdampak?

Kemungkinan besar tidak, jika tim Anda mengunci versi secara tepat dan tidak memperbarui apa pun antara pukul 14:39 dan 17:20 waktu Riyadh pada 21 Oktober. Anda mungkin terdampak jika salah satu hal berikut berlaku:

  • Server atau container menjalankan «pip install litellm» tanpa versi tetap, atau menarik tag Docker «latest».
  • Pipeline CI/CD melakukan build ulang pada sore itu.
  • Seorang pengembang mencoba LiteLLM di laptopnya pada hari itu.
  • Sistem Anda memakai paket lain yang bergantung pada LiteLLM.

LiteLLM menyatakan bahwa pelanggan versi Enterprise privatnya tidak terdampak.

Lima langkah untuk hari ini

  • Cari: versi 1.107.0 di file lock, log build, dan image container, serta file cook.pth dan sitecustomize.py di folder paket Python.
  • Bangun ulang: jika menemukannya, jangan hanya menghapus instalasinya. Laporan resmi memperingatkan bahwa menjalankan pip di lingkungan yang terinfeksi dapat memicu malware lagi. Bangun ulang mesin atau container dari image yang bersih.
  • Ganti semua kunci: kunci dan peran cloud, kunci penyedia AI, kata sandi basis data, dan kunci SSH yang bisa dijangkau mesin itu. Anggap semuanya sudah di tangan penyerang.
  • Tinjau log: periksa aktivitas cloud sejak 21 Oktober untuk panggilan tidak biasa seperti GetCallerIdentity, dan pantau tagihan penyedia AI Anda untuk pengeluaran yang tidak Anda kenali.
  • Kunci versi: pasang litellm==1.106.2 atau perbaikan resmi berikutnya, dan kunci setiap pustaka dengan file lock alih-alih menarik «latest» secara otomatis.

Jika Anda sudah membaca artikel kami sebelumnya tentang kunci yang terlupa di kode agen AI, pelajarannya sama dari sudut lain: kunci AI kini termasuk rahasia paling berharga perusahaan Anda, dan tempat kunci-kunci itu terkumpul menjadi sasaran.

Pandangan Origami

Tidak ada yang meretas kode LiteLLM itu sendiri. Penyerang mengubah cara kode itu dibangun dan diterbitkan, sehingga meninjau kode sumber saja tidak akan menangkapnya. Karena itu, melindungi produk AI tidak terlalu bergantung pada pilihan pustaka, melainkan pada cara menjalankannya: versi yang dikunci, kunci terpisah untuk setiap lingkungan dengan izin seperlunya saja, batas pengeluaran di setiap penyedia AI, dan catatan jelas tentang siapa yang bisa mengakses apa. Saat membangun sistem AI untuk perusahaan di Origami, kami memperlakukan gateway model sebagai bagian paling sensitif dari sistem, karena di sanalah kunci segalanya disimpan. Jika Anda ingin aplikasi AI perusahaan Anda diperiksa terkait insiden ini, atau kunci dan izinnya ditata ulang, hubungi kami.

Sumber